Roundcube - CVE-2026-113386
Date de publication :
Il s’agit d’une vulnérabilité dans Roundcube Webmail.
Roundcube Webmail est un client de messagerie web open source écrit en PHP. Il se connecte à un serveur IMAP pour consulter les messages et à un serveur SMTP pour en envoyer. Il est distribué par le projet Roundcube et repris par des distributions Linux comme Debian.
Le paramètre _uid des actions mail/headers et mail/viewsource n’est pas filtré. Il accepte des séquences CRLF (retour chariot et saut de ligne). Ces séquences sont reprises telles quelles dans la commande IMAP envoyée au serveur de messagerie. L’attaquant peut ainsi y injecter ses propres commandes. L’attaque s’effectue à distance par le réseau. Elle exige un compte authentifié et aucune interaction utilisateur. La complexité d’attaque est faible. Le correctif rejette tout identifiant qui contient un retour chariot ou un saut de ligne. Il fait partie d’un lot d’une vingtaine de correctifs de sécurité publiés dans les versions 1.6.20 et 1.7.5. Une autre injection IMAP par le paramètre _flag de l’action mail/mark y est corrigée.
Elle permet à un attaquant distant authentifié d’exécuter des commandes IMAP arbitraires sur le serveur de messagerie, avec un impact élevé sur l’intégrité et faible sur la confidentialité des données.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
Exploitation
CWE-93 : Improper Neutralization of CRLF Sequences ('CRLF Injection')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Roundcube Webmail versions 1.6.0 jusqu’à 1.6.19
- Roundcube Webmail versions 1.7.0 jusqu’à 1.7.4
- Paquet Debian roundcube versions 1.6.5+dfsg-1+deb12u12 et 1.6.19+dfsg-0+deb13u1
Solutions ou recommandations
• Branche 1.7 : Roundcube Webmail versions 1.7.5 et supérieures
• Paquet Debian : roundcube versions 1.6.20+dfsg-1 et supérieures